Ransomware-as-a-Service Der neue Trend aus dem Darknet

Anbieter zum Thema

Cohesity GmbH

Mimecast Germany GmbH

TXOne Networks

Open Systems AG

Die Meldung über die Zerschlagung von Emotet ging Anfang des Jahres um die Welt. Doch statt Erleichterung macht sich nun Sorge breit, dass die Schadsoftware nur den Anfang einer neuen Reihe von Angriffen markiert, die als Ransomware-as-a-Service (RaaS) bezeichnet werden. Experten warnen davor, dass die von Emotet ausgehende Gefahr nur temporär gebannt ist und ein Kurswechsel zu einem erneuten Aufflammen der RaaS-Methodik führen wird.

Emotet hat seit seinem initialen Erscheinen 2014 zahlreiche Netzwerke von Privatpersonen, Unternehmen, Behörden und Institutionen infiziert. So waren allein in Deutschland unter anderem das Krankenhaus im bayrischen Fürstenfeld, das Berliner Kammergericht, die Universität Gießen sowie die Stadt Frankfurt am Main betroffen. Prinzipiell können wir davon ausgehen, dass die Dunkelziffer jener Organisationen, die Opfer eines Cyberangriffs werden – sei es durch Emotet oder durch andere Schädlinge – weitaus höher ist als die veröffentlichten Statistiken es vermuten lassen. Denn aus Furcht vor Reputationsschäden, scheuen sich viele Unternehmen davor, einen Angriff zu melden.

Security-Insider Podcast – Folge 32

Emotet Live-Podcast – mit 100 Leuten im Studio

Müssen Unternehmen sich nun auf die RaaS-Ära einstellen?

Laut Sicherheitsexperten wie dem Bundeskriminalamt war Emotet die weltweit gefährlichste Schadsoftware, die bisher verzeichnet wurde. Das liegt zum einen daran, dass Emotet mithilfe raffinierter Ausweichtechniken über einen langen Zeitraum im Verborgenen agieren konnte und zum anderen an der Tatsache – und hier wird es besonders prekär – dass die gekaperten Unternehmenszugriffe im Darknet als Ransomware-as-a-Service an Dritte verkauft wurden. Die Cybercrime-Methode wird auch als Malware-as-a-Service oder Cybercrime-as-a-Service bezeichnet. Doch auch unabhängig von den Begrifflichkeiten steht Emotet für die Geburtsstunde eines neuen Dienstleistungsmodells, für dessen Abwehr sich Unternehmen wappnen sollten. RaaS agiert als eine Art Einfallstor für Computersysteme und kann von jedem erworben werden, der bereit ist, den geforderten Preis zu zahlen. Somit haben auch „Amateur“-Kriminelle ohne tieferes Programmierverständnis die Möglichkeit, Erpressungskampagnen zu starten. Für die Hintermänner ist dieses Geschäft nicht nur lukrativ, sie gehen gleichzeitig ein geringeres Risiko ein, weil die Erpressung selbst von anderen Kriminellen ausgeht.

Die Nachwehen von Emotet & DarkMarket

So unverwüstlich ist das Darknet

Cyber-Dienstleistungen erobern das Darknet

Das Darknet ist eine Art unregulierter wilder Westen des Internets und ein Marktplatz für den Austausch illegaler Waren und Dienstleistungen. Mithilfe von Anonymisierungstechnologien und digitalen Währungen kann hier Handel auf globaler Ebene betrieben werden und die Strafverfolgungsbehörden können dieses Geschehen oft nur eingeschränkt mitverfolgen. Auch der Handel mit RaaS scheint mit der Zerschlagung von Emotet kein Ende gefunden zu haben. Ganz im Gegenteil: IT-Spezialisten haben bereits erste Recycling-Modelle der Emotet-Infrastruktur identifiziert. So sind beispielsweise bereits die Schädlinge DarkSide und TrickBot auf dem Radar erschienen. Beide Bedrohungen funktionieren wie auch Emotet nach dem RaaS-Prinzip. Die Hintermänner gehen in diesen Fällen sogar so weit, die Dateien befallener Systeme nicht nur zu verschlüsseln, sie drohen den Betroffenen bei Nichtzahlung auch damit, Unternehmensgeheimnisse offenzulegen. Diese Form der Erpressung ist im Grunde kein neues Phänomen, jedoch befürchten Experten, dass solche Fälle in Zukunft häufiger auftreten werden – nicht zuletzt wegen der neuen Möglichkeiten, die RaaS bietet.

Bedrohungen à la Emotet, DarkSide oder TrickBot können zwar im besten Fall mit Raffinesse und Geduld gestoppt werden, doch wie bei jeder anderen technologischen Entwicklung, bauen die feindlichen Akteure auf dem Fundament bereits bestehender Codes und Methoden auf. Das bedeutet, dass es auch in Zukunft neue Angriffsmethoden geben wird, die in immer professionellerer Gestalt daherkommen. Auch Ransomware wird dadurch komplexer und schwieriger zu erkennen.

Ransomware: Eine wachsende Bedrohung für Unternehmen jeder Größe

Unternehmen sollten das Risiko, eines Tages selbst Opfer eines Ransomware-Angriffs vom Kaliber Emotet zu werden, nicht unterschätzen. Laut einer Studie des Sicherheitsanbieters Sophos waren im vergangenen Jahr 47 Prozent und damit knapp die Hälfte der befragten kleineren Unternehmen (100-1000 Mitarbeiter) von einem Ransomware-Vorfall betroffen. Bei größeren Unternehmen (1001-5000 Mitarbeiter) waren es mit 54 Prozent sogar etwas mehr als die Hälfte. Dabei benötigte ein Drittel der betroffenen Unternehmen für die Wiederherstellung ihrer gekaperten Daten etwa eine Woche oder länger. Die Kosten, die mit einer solchen Geschäftsunterbrechung einhergehen, können immens sein.

Was können Unternehmen tun, um sich zu schützen?

Zur Vorbeugung von Ransomware-Angriffen gibt es eine Vielzahl an Möglichkeiten, die IT-Experten in Unternehmen beherzigen sollten, darunter

• die Sicherung kritischer Daten mit einer sicheren Cloud-Backup- oder Offline-Lösung,

• die Verbesserung von Cybersicherheitsschulungen für Mitarbeiter,

• die regelmäßige Aktualisierung der Betriebssysteme und Anwendungen,

• die Installation der neuesten Sicherheit-Patches sowie die

• Verwendung verschlüsselter Protokolle wie SSL, wo immer möglich.

Außerdem sollten Unternehmen darauf vorbereitet sein, dass ein Cyberangriff an jedem Tag und zu jedem Zeitpunkt stattfinden kann. Demnach ist es sinnvoll, das interne Sicherheitsteam durch Managed Detection and Response (MDR) zu ergänzen. Mit MDR wird das Unternehmensnetzwerk rund um die Uhr von externen Experten überwacht, die mögliche Schäden sofort identifizieren und eingrenzen können. Ein solches Frühwarnsystem, das rund um die Uhr aktiv ist, ist auch unter dem Gesichtspunkt wichtig, dass Verschlüsselungen und Systemsperrungen nur äußerst schwer rückgängig gemacht werden können, wenn diese einmal aktiviert sind.

Wir müssen davon ausgehen, dass auch in Zukunft neue Bedrohungen auf uns warten, insbesondere weil Modelle wie RaaS im Umlauf sind. Denn zu den Profis unter den Cyberkriminelle reihen sich nun auch digitale Kleinkriminelle in die Erpresserszene ein. Auch Automatisierung und Machine Learning sorgen für immer wieder neue und verbesserte Varianten von Angriffsmethoden wie Phishing oder Social Engineering. Folglich müssen Unternehmen unbedingt für effektive Sicherheitssysteme und -prozesse sorgen und ein Blick auf moderne Sicherheitslösungen wie MDR ist dabei unabdingbar.

Über den Autor: Moritz Mann ist Chief Strategy Officer bei Open Systems. Er studierte an der Dualen Hochschule Baden-Württemberg (DHBW) sowie London und hat einen Abschluss in Wirtschaftsinformatik und Business Administration.

(ID:47433110)